安全分析报告： 闵行捷医 v36.35.20240515224727

[android:usesCleartextTraffic=true]
应用程序打算使用明文网络流量，例如明文HTTP，FTP协议，DownloadManager和MediaPlayer。针对API级别27或更低的应用程序，默认值为“true”。针对API级别28或更高的应用程序，默认值为“false”。避免使用明文流量的主要原因是缺乏机密性，真实性和防篡改保护；网络攻击者可以窃听传输的数据，并且可以在不被检测到的情况下修改它。

存在一个intent-filter。
发现 Activity与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Activity是显式导出的。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

Permission: android.permission.BIND_JOB_SERVICE [android:exported=true]
发现一个 Service被共享给了设备上的其他应用程序，因此让它可以被设备上的任何其他应用程序访问。它受到一个在分析的应用程序中没有定义的权限的保护。因此，应该在定义它的地方检查权限的保护级别。如果它被设置为普通或危险，一个恶意应用程序可以请求并获得这个权限，并与该组件交互。如果它被设置为签名，只有使用相同证书签名的应用程序才能获得这个权限。

(cn.jpush.android.service.JNotifyActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

(cn.jpush.android.service.DActivity)
如果设置了 taskAffinity，其他应用程序可能会读取发送到属于另一个任务的 Activity 的 Intent。为了防止其他应用程序读取发送或接收的 Intent 中的敏感信息，请始终使用默认设置，将 affinity 保持为包名

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Activity与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

[android:exported=true]
发现 Service与设备上的其他应用程序共享，因此可被设备上的任何其他应用程序访问。

存在一个intent-filter。
发现 Broadcast Receiver与设备上的其他应用程序共享，因此让它可以被设备上的任何其他应用程序访问。intent-filter的存在表明这个Broadcast Receiver是显式导出的。

[android:priority]
通过设置一个比另一个Intent更高的优先级，应用程序有效地覆盖了其他请求。

应用程序可以读取/写入外部存储器，任何应用程序都可以读取写入外部存储器的数据
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#external-storage

Files:
cn/palmap/h5calllibpalmap/record/CommonRecogParams.java, line(s) 81,77
com/app/tanklib/BaseApplication.java, line(s) 75
com/bsoft/hcn/jieyi/NimSDKOptionConfig.java, line(s) 47
com/bsoft/hcn/jieyi/activity/my/FeedbackActivity.java, line(s) 353,357
com/bsoft/hcn/jieyi/activity/my/SettingHeaderActivity.java, line(s) 107
com/bsoft/hcn/jieyi/common/util/crash/CrashSnapshot.java, line(s) 54,55
com/bsoft/hcn/jieyi/file/browser/FileBrowserActivity.java, line(s) 32
com/bsoft/hcn/jieyi/util/CrashHandlerUtil.java, line(s) 49,53
com/bsoft/hcn/jieyi/util/FileUtils.java, line(s) 7
com/bsoft/hcn/jieyi/util/ImageUtils.java, line(s) 7
com/cf/msc/sdk/AppVest.java, line(s) 148,194
com/iflytek/core_lib/util/PhotoUtils.java, line(s) 109
com/mock/hlmodule/net/OkHttpCore.java, line(s) 49

SHA-1是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/cf/msc/sdk/SignCheck.java, line(s) 54
com/jg/ids/i/i.java, line(s) 145
org/repackage/a/a/a/a/c.java, line(s) 58

文件可能包含硬编码的敏感信息，如用户名、密码、密钥等
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05d-Testing-Data-Storage.md#checking-memory-for-sensitive-data-mstg-storage-10

Files:
cn/palmap/h5calllibpalmap/record/AutoCheck.java, line(s) 66,99
com/bsoft/hcn/jieyi/NimSDKOptionConfig.java, line(s) 99
com/bsoft/hcn/jieyi/adapter/JieyiBannerAdapter.java, line(s) 148
com/bsoft/hcn/jieyi/dialog/ClinicPurposeDialog.java, line(s) 72
com/bsoft/hcn/jieyi/fragment/JieyiHomeFragment.java, line(s) 449
com/mock/hlmodule/net/BaseOkHttp.java, line(s) 188
com/mock/hlmodule/utils/HLConstant.java, line(s) 18
com/mock/hlmodule/utils/LogCat.java, line(s) 8
com/mock/hlmodule/view/BaseWebActivity.java, line(s) 75,78,87,86,91
com/mock/hlmodule/view/HLFragment.java, line(s) 81,84,90,89

MD5是已知存在哈希冲突的弱哈希
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#identifying-insecure-andor-deprecated-cryptographic-algorithms-mstg-crypto-4

Files:
com/app/tanklib/bitmap/IndexUrlCache.java, line(s) 54
com/app/tanklib/bitmap/view/NetImageView.java, line(s) 188,227,189,228
com/app/tanklib/bitmap/view/RoundImageView.java, line(s) 360,385,361,386
com/bsoft/hcn/jieyi/util/Md5Util.java, line(s) 19,57
com/iflytek/core_lib/util/b.java, line(s) 11
com/mock/hlmodule/utils/Md5Utils.java, line(s) 36,57
org/vudroid/core/utils/MD5StringUtil.java, line(s) 11

不安全的Web视图实现。可能存在WebView任意代码执行漏洞
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#testing-javascript-execution-in-webviews-mstg-platform-5

Files:
com/bsoft/hcn/jieyi/activity/common/WebViewActivity.java, line(s) 508,687

可能存在跨域漏洞。在 WebView 中启用从 URL 访问文件可能会泄漏文件系统中的敏感信息
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05h-Testing-Platform-Interaction.md#static-analysis-6

Files:
cn/palmap/h5calllibpalmap/X5WebView.java, line(s) 38,36
com/bsoft/hcn/jieyi/fragment/QuestionAnswerFragment.java, line(s) 34,27
com/mock/hlmodule/view/BaseWebActivity.java, line(s) 505,509
com/mock/hlmodule/view/HLFragment.java, line(s) 343,347

应用程序使用不安全的随机数生成器
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x04g-Testing-Cryptography.md#weak-random-number-generators

Files:
com/bsoft/hcn/jieyi/session/extension/GuessAttachment.java, line(s) 4

此应用程序可能会请求root（超级用户）权限
https://github.com/MobSF/owasp-mstg/blob/master/Document/0x05j-Testing-Resiliency-Against-Reverse-Engineering.md#testing-root-detection-mstg-resilience-1

Files:
com/cf/msc/sdk/CheckHook.java, line(s) 31,47,63,47

从应用程序中识别出以下机密确保这些不是机密或私人信息
小米推送的=> "XIAOMI_APPKEY" : "5.9519203E12"
极光推送的=> "JPUSH_APPKEY" : "382dc3ad7ba5311901ee9281"
华为HMS Core 应用ID的=> "com.huawei.hms.client.appid" : "appid=103956097"
友盟统计的=> "UMENG_APPKEY" : "59db1a6582b6355b95000010"
华为HMS Core 应用ID的=> "com.huawei.hms.client.appid" : "appid=100652301"
高德地图的=> "com.amap.api.v2.apikey" : "960b3f8693f7e06cf2362ac36973eb14"
极光推送的=> "JPUSH_CHANNEL" : "yinyongbao"
网易云信 IM SDK的=> "com.netease.nim.appKey" : "79996de8f930eb363b6db0babee45a9c"
友盟统计的=> "UMENG_CHANNEL" : "yingyongbao"
小米推送的=> "XIAOMI_APPID" : "MI-2882303761519204210"
"nrtc_setting_other_device_default_rotation_key" : "nrtc_setting_other_device_default_rotation_key"
"nrtc_setting_vie_rotation_key" : "nrtc_setting_vie_rotation_key"
"nrtc_setting_other_server_record_video_key" : "nrtc_setting_other_server_record_video_key"
"nrtc_setting_voe_audio_aec_key" : "nrtc_setting_voe_audio_aec_key"
"nrtc_setting_vie_default_front_camera_key" : "nrtc_setting_vie_default_front_camera_key"
"nrtc_setting_vie_hw_encoder_key" : "nrtc_setting_vie_hw_encoder_key"
"nrtc_setting_vie_quality_key" : "nrtc_setting_vie_quality_key"
"nrtc_setting_voe_high_quality_key" : "nrtc_setting_voe_high_quality_key"
"nrtc_setting_vie_hw_decoder_key" : "nrtc_setting_vie_hw_decoder_key"
"nrtc_setting_vie_max_bitrate_key" : "nrtc_setting_vie_max_bitrate_key"
"nrtc_setting_other_server_record_audio_key" : "nrtc_setting_other_server_record_audio_key"
"nrtc_setting_voe_audio_ns_key" : "nrtc_setting_voe_audio_ns_key"
"nrtc_setting_vie_fps_reported_key" : "nrtc_setting_vie_fps_reported_key"
"nrtc_setting_voe_call_proximity_key" : "nrtc_setting_voe_call_proximity_key"
"nrtc_setting_other_device_rotation_fixed_offset_key" : "nrtc_setting_other_device_rotation_fixed_offset_key"
"nrtc_setting_vie_crop_ratio_key" : "nrtc_setting_vie_crop_ratio_key"
2c9180835f95863b015f95b76b590a6e
993c51f3cf9c001b66c5960ec5e9f889
FDA50693-A4E2-4FB1-AFCF-C6EB07647825
k9PeoPcnMOgTdHfbz3FZCuv8
YWJjZGVmZ2hpamtsbW5vcHFyc3R1dnd4
zNM1R4QhV58rryogksWGicR9MQZpEm9W
978ed9a06d25cebdf6d8d009fc25f054
33761B2D-78BB-4A43-8B0B-4F5BEE8AACF3
1DA0C57D-6C06-438A-9B27-10BCB3CE0F61
AADB8D7E-AEEF-4415-AD2B-8204D6CF042E
59627784-3BE5-417A-B9EB-8131A7286089